Назад | Перейти на главную страницу

Как собирать удаленные журналы Windows без прав администратора

Я пытаюсь собирать журналы с удаленных компьютеров с Windows (Windows Server 2008R2 и Windows 7), и я не могу найти способ сделать это таким образом, чтобы у меня все еще была возможность сделать это, не имея прав администратора на удаленном компьютере. машина.

  1. Это возможно?
  2. В настоящее время я использую командлет Get-EventLog в PowerShell. Я могу получить журналы, если я администратор удаленного компьютера.
  3. Все машины находятся в одном домене.
  4. Используя PowerShell3.

дайте мне знать, если вам нужны подробности.

Вы можете пересылать события журнала в Windows Server 2008 и Windows 7. Это может быть лучшим решением. Вы настраиваете машины для пересылки событий в центральный сборщик, а затем настраиваете центральную точку для сбора журналов событий. Дополнительная информация от MS доступна здесь. http://technet.microsoft.com/en-us/library/cc748890.aspx

Хорошая часть их централизованного сбора заключается в том, что вы можете затем использовать powershell, если хотите обрабатывать журналы по мере необходимости локально на сборщике.

Я думаю, что без прав администратора, я думаю, вам будет сложно извлекать журналы событий удаленно. Но может быть, у кого-то есть вариант получше? Может быть, служба SNMP может разрешить общий доступ только для чтения?

Создайте учетную запись службы для запуска этого процесса и поместите ее в локальную группу «Читатели журнала событий» для всех целей, с которых вы собираетесь собирать данные. Вы даже можете использовать объект групповой политики для добавления этой учетной записи (Конфигурация компьютера / Политики / Параметры Windows / Параметры безопасности / Группы с ограниченным доступом)

Этот вопрос может быть решен по множеству других направлений после того, как проблема безопасности будет решена. Существует множество сторонних инструментов для сбора журналов на предприятии (Arcsight, Splunk и т. Д.), Или вы можете использовать свои собственные с помощью PowerShell.